Ledger устранил баг в Ethereum-приложении, позволяющий подменять транзакции

Исследователи OneKey Anzen заявили, что в лаборатории воспроизвели атаку «подмены транзакции» в Ethereum-приложении для аппаратных кошельков Ledger версии 1.22.1. По описанию, из‑за состояния гонки между логикой отображения данных и внутренним буфером устройство могло показывать пользователю одну операцию на экране, а на подпись отправлять другую. Подразделение безопасности Ledger Donjon подтвердило наличие уязвимости и отметило, что реальных взломов пользователей не зафиксировано: демонстрация проводилась на устаревшей версии и в контролируемых условиях. Проблему закрыли патчем Ethereum app 1.22.2, выпущенным 13 августа, до публикации деталей. В бюллетене компании уточняется, что баг был связан с возможностью отправки новой APDU‑команды, пока пользователь подтверждает предыдущую. Пользователям рекомендуют обновить приложение и проверить актуальность прошивки устройства.

Почему это важно

Тема затрагивает базовый принцип аппаратных кошельков — «что видишь на экране, то и подписываешь». Даже лабораторная демонстрация таких расхождений повышает внимание к обновлениям и процедурам безопасного подписания транзакций в Ethereum.

Возможное влияние на рынок

Краткосрочно новость скорее влияет на настроения вокруг самокастоди и доверие к аппаратным кошелькам, чем на цену ETH. Возможны всплески обсуждений и повышенный спрос на обновления/аудиты у вендоров кошельков.

Связанные тикеры: ETH

Оригинальный источник: ForkLog